VPN পেলোড এনক্রিপ্টেড থাকলে রাউটার লগ কী দেখায়

এনক্রিপশন ঠিক করে একটি প্যাকেটের বিষয়বস্তু পড়া যায় কি না, আর প্যাকেটটির অস্তিত্ব, আকার ও সময় লিখে রাখা হয় কি না সে সম্পর্কে কিছুই বলে না। একটি এনক্রিপ্টেড টানেল ফরওয়ার্ড করা রাউটার এমন একটি প্রবাহ দেখে যা তাকে পৌঁছে দিতে হবে, আর সে সেই প্রবাহ গণনা করতে, সময়চিহ্ন দিতে ও নির্দিষ্ট করতে পারে। একটি হোম গেটওয়ে কী রেকর্ড করে তার সঙ্গে আপস্ট্রিম নেটওয়ার্ক কী রেকর্ড করে তা তুলনা করুন, তাহলে দেখা যাবে পার্থক্যটি হলো কোন কোন ফিল্ড রাখার কারণ প্রত্যেকের আছে।

সেই তুলনাটিই কাজের, কারণ গোপনীয়তা আলোচনায় দুটি রেকর্ড বারবার মিশে যায়। তারা ভিন্ন প্রশ্নের উত্তর দেয় এবং ভিন্ন সময়ের জন্য রাখা হয়।

দুই পর্যবেক্ষক, দুই ভিন্ন রেকর্ড

আপনার প্রান্তের গেটওয়ে জানে প্রবাহটি কোন স্থানীয় ইন্টারফেস ব্যবহার করেছে এবং যখন সে নিজেই ঠিকানা দেয়, তখন কোন ডিভাইস ওই সময়ে সেই ঠিকানার অধিকারী ছিল। সে এও দেখতে পারে আপনি কোন রিজলভারকে জিজ্ঞাসা করেছেন এবং কোন এন্ডপয়েন্টে যোগাযোগ করেছেন। আপস্ট্রিমে একই ট্রাফিক অনূদিত হয়ে পৌঁছায়, তাই অন্য একটি নেটওয়ার্ক পুরো পরিবারের ভাগ করা একটি পাবলিক ঠিকানা দেখে, যা RFC 3022-এ বর্ণিত কার্যকারিতা। কোনও পর্যবেক্ষকই পেলোড পড়েনি, আর কোনও রেকর্ডই অন্যটি ধারণ করে না।

বাইটের মোট হিসাবও এই শ্রেণিতে পড়ে। একটি ভলিউম কাউন্টার রেকর্ড করে যে ট্রাফিক গেছে, কিন্তু তা কী ছিল তা রেকর্ড করে না।

কোন ফিল্ড সত্যিই চিহ্ন রেখে যায়

একটি নির্দিষ্ট ডিভাইস কী সংরক্ষণ করে তা নির্ভর করে কী সক্রিয় আছে তার উপর, তাই যেকোনও সার্বজনীন দাবি সন্দেহের যোগ্য। টেবিলটি বাস্তবে গুরুত্বপূর্ণ ফিল্ডগুলো এবং প্রতিটির অর্থ কী তা তালিকাভুক্ত করে।

টেবিলটি কলাম ধরে নয়, সারি ধরে পড়ুন, কারণ প্রতিটি সারি ভিন্ন সিদ্ধান্ত সমর্থন করে। এন্ডপয়েন্ট ঠিকানা দেখায় একটি টানেল আছে, এটি কী বহন করেছে তা নয়। স্থানীয় ডিভাইস ম্যাপিং সেই সারি যা একটি প্রবাহকে একজন ব্যক্তির সঙ্গে যুক্ত করে, আর এটিই সেই সারি যা হোম গেটওয়ে রাখে কিন্তু আপস্ট্রিম পর্যবেক্ষক সাধারণত রাখে না।

পেলোড সারিটি দুই কলামেই একই থাকে, আর এটিই সেই অংশ যা এনক্রিপশন সত্যিই নিশ্চিত করে। বাকি সবকিছু লগিংয়ের সিদ্ধান্তের উপর নির্ভর করে।

যে রাউটার টানেল শেষ করে সে আরও দেখে

অন্যের এনক্রিপ্টেড ট্রাফিক ফরওয়ার্ড করা একটি গেটওয়ে এবং নিজেই টানেল চালানো একটি রাউটার ভিন্ন অবস্থানে থাকে। দ্বিতীয়টি টানেলের অবস্থা ও তার চাবি রাখে, তাই ভেতরের ঠিকানা ও টানেলের ভেতরের গন্তব্যগুলো দেখতে পারে। যদি সেই রাউটার ভেতরের নেটওয়ার্কের জন্যও ঠিকানা অনুবাদ করে, তার লগ একটি রেকর্ডে একটি ডিভাইসকে একটি ভেতরের গন্তব্যের সঙ্গে যুক্ত করতে পারে। এটি বাইরের প্রবাহ থেকে ভিন্ন একটি প্রকাশ, যা একই বাক্স তৈরি করে।

এটি একটি সাধারণ গেটওয়ের পেছনে ল্যাপটপ ক্লায়েন্টের সঙ্গে তুলনা করুন: গেটওয়ে বাইরের প্রবাহ রেকর্ড করে, আর ক্লায়েন্টের নিজের লগ ভেতরের বিস্তারিত রাখে। কে ছবিটির কোন অর্ধেক রাখে তা জিজ্ঞাসা করা, নেটওয়ার্ক এনক্রিপশনের ভেতর দিয়ে দেখতে পারে কি না তা জিজ্ঞাসা করার চেয়ে বেশি ফলপ্রসূ। দ্বিতীয় প্রশ্নের সৎ উত্তর হলো না, আর এটি সেই প্রশ্নও নয় যা আপনার ঝুঁকি নির্ধারণ করে।

আপনার নিজের ডিভাইস কী রেকর্ড করে তা দেখুন

অন্যের সম্পর্কে ভাবনার আগে নিজের সরঞ্জাম দেখুন। নিচের কমান্ডগুলো কাউন্টারযুক্ত ফায়ারওয়াল নিয়ম, এখনও জীবিত সংযোগের এন্ট্রি এবং সংযোগ উল্লেখ করা লগ লাইন তালিকাভুক্ত করে। এগুলো Linux-ভিত্তিক রাউটারের জন্য প্রযোজ্য, যেখান থেকেই বেশিরভাগ ভোক্তা ফার্মওয়্যার এসেছে।

nft list ruleset | grep -A2 counter
conntrack -L 2>/dev/null | grep 1194
logread | grep -iE 'vpn|1194' | tail -n 20
cat /proc/net/nf_conntrack | wc -l

কাউন্টারযুক্ত নিয়মের সেট আপনাকে বলে ডিভাইসটি কী গণনা করতে রাজি, আর সংযোগ টেবিল ইতিহাস নয়, জীবিত প্রবাহ দেখায়। লগ লাইন নিশ্চিত করে ফার্মওয়্যার আদৌ সংযোগের ঘটনা লেখে কি না, আর এটিই বিতর্কের বেশিরভাগ মীমাংসা করে। চারটি কমান্ডেই খালি আউটপুট মানে বাক্সটি রেকর্ড না করেই ফরওয়ার্ড করে, আর সেটিও একটি উত্তর। ক্লায়েন্টে আবার পরীক্ষাটি করুন, কারণ তার লগ ছবিটির অন্য অর্ধেক ধারণ করে।

সক্রিয় সুবিধাগুলো এবং সংরক্ষণ সেটিং আউটপুটগুলোর পাশে লিখে রাখুন। একই হার্ডওয়্যার আজ চুপ থাকতে পারে, আর টেলিমেট্রি চালু করা ফার্মওয়্যার আপডেটের পরে কথা বলতে পারে।